Newsletter du 09 Novembre 2026
SommaireÉdito
Dans toute panne il existe un instant précis, quelque part entre la première alerte et le premier log ouvert, où chacun a déjà trouvé le coupable.
Pendant que le canal #incidents se remplit, le manager demande une heure de retour à la normale à quelqu’un qui ne sait pas encore ce qui est tombé, le dev rappelle que ça marchait sur sa machine avec la sérénité de quelqu’un qui a déjà préparé sa déposition, l’équipe réseau poste la capture d’un dashboard tout vert comme on présente un alibi et quelqu’un propose de tout redémarrer en espérant que personne ne lui demandera jamais pourquoi ça a marché.
Le DNS, lui, ne dit rien. Il a compris depuis longtemps que le silence reste la meilleure défense quand on est coupable dans une proportion statistiquement embarrassante de cas.
Le lendemain, on écrit un post-mortem "sans reproches". La case "root cause" finit par contenir deux mots, erreur humaine, et un prénom que tout le monde lit sans qu’il soit écrit.
Pourtant, si une seule personne peut faire tomber la prod avec une seule commande, le problème n’est pas la personne, c’est la commande. Et accessoirement celui qui lui a donné les droits ce qui, vous l’aurez remarqué, nous fait un nouveau coupable.
Alors cette semaine, je prends les devants. Si un lien est cassé, c’est MailerLite. Si une coquille traîne, c’est le correcteur orthographique, et si ce numéro vous ennuie, c’est forcément le réseau.
Cyril
portabase.io
La pépite de la semaine
Il y a cinq mois je vous présentais Portabase et j’y reviens avec plaisir parce que ce petit projet français a sacrément grandi. Pour ceux qui l’ont raté : c’est un outil open source et self-hosted qui centralise et automatise les sauvegardes de toutes vos bases de données depuis un seul tableau de bord, planification, chiffrement, alertes et restauration compris. Des agents légers tournent à côté de vos bases et viennent chercher leurs ordres auprès du serveur sans le moindre port entrant ouvert comme un ado qui n’appelle ses parents que quand il a besoin de quelque chose. PgSQL, MySQL, MariaDB, MongoDB, SQL Server, volumes Docker, fichiers et même Firebird pour les deux irréductibles qui en ont encore en prod, avec des backups chiffrés en AES-GCM qui partent en même temps vers S3, Azure, Google Drive, SFTP ou tout ce que Rclone sait atteindre. Pile entre pgBackRest, qui demande un doctorat en fichiers de conf et Veeam qui demande un budget.
Depuis cet été l’adoption a décollé côté public comme privé, universités, instituts de recherche, hôpitaux, infogéreurs, ESN, industriels, de La Rochelle jusqu’en Allemagne, en Suisse et en Espagne, et le tout tient toujours sur deux fondateurs autofinancés, plus de 25 contributeurs avec bientôt 2 000 étoiles GitHub, le tout sous licence Apache 2.0. Prochaine étape, la vérification d’intégrité des backups et les tests de restauration en environnement isolé, ce qui laisse encore quelques mois à votre DSI pour faire semblant que ses sauvegardes se restaurent bien, et une couverture plus étendue des sources de données prises en charge (TimescaleDB, Oracle, IBM Db2, volumes persistants Kubernetes, etc).
Le coeur de la veille
K8s multi-tenancy, layer by layer
Je vous conseille de lire ce chouette papier des cowboys de chez ItNext qui nous explique comment caser plusieurs clients dans le même cluster Kubernetes sans se contenter d’un namespace, d’un RoleBinding copié sur celui du voisin et d’un pacte de non-agression écrit nulle part. C'est dense mais bien expliqué, et pour une fois on évoque des cas pratiques abordables pour la plus grande majorité.
The next 10 years of KubeVirt
Il y a bien longtemps Red Hat lançait KubeVirt pour faire tourner de vieilles VM dans Kubernetes à côté des conteneurs, un peu comme une grand-mère casée dans la chambre d’amis du loft. La feuille de route des dix prochaines années vaut le coup d’œil pour qui cherche une sortie de secours à la facture Broadcom : GPU alloués via DRA, VM confidentielles avec attestation, plugins pour étendre le projet sans gonfler le cœur, et à terme Firecracker ou Cloud Hypervisor branchés à côté de QEMU sans forker quoi que ce soit. Certains projets s’en servent déjà pour faire tourner des nœuds Kubernetes dans des VM qui tournent dans Kubernetes et personne n’a encore osé ouvrir la dernière poupée.
A decade of blame awareness
Il y a dix ans l’auteur inventait le "blame aware", lassé des post-mortems décrétés "blameless" qui ressemblaient à un enterrement où il serait interdit de mentionner le mort. Son idée, que tout animateur de rétro devrait lire au moins une fois : arrêter de faire semblant, dire tout haut qui accuse qui, y compris les ingés qui s’accusent eux-mêmes, et ne plus confondre absence de reproche et absence de sanction. Il cite même une équipe qui ouvre chaque rétro par un tour de table des coupables, une sorte de Cluedo où la réponse est connue d’avance : le stagiaire, dans la salle serveur, avec un kubectl delete.
/usr/local/bin
bootvine
Le boot Linux défile comme un générique de fin que personne n’a jamais lu, alors bootvine le remplace par un arbre vivant des unités systemd encore en attente et une timeline des plus lentes, pour savoir enfin qui vous fait poireauter. Spoiler : c’est NetworkManager-wait-online, c’est toujours NetworkManager-wait-online.
maintenant
maintenant remplace la dizaine de briques que vous avez mis un an à faire tenir ensemble, Prometheus, Grafana, Alertmanager, Loki et leurs copains par un seul binaire Go qui découvre tout seul conteneurs, certificats, crons et CVE, puis réveille votre agent IA via MCP pour qu’il enquête à votre place. Codé par un dev bordelais en solo et financé par France 2030, c’est déjà ça de livré avant 2030.
ttl
C’est traceroute après une prépa : trace continue vers plusieurs cibles, perte, latence et jitter par saut, détection du MTU, du NAT, des routes qui flappent et des points d’échange, et surtout la différence entre un routeur qui perd vraiment vos paquets et un routeur qui a juste la flemme de répondre à l’ICMP. De quoi prouver enfin à l’équipe réseau que c’est le réseau, avec des graphes qu’elle ne regardera pas.
En bref
Faille OpenSSH sur musl (*sshole)
Une faille permettait d’ouvrir une session SSH sur certaines configurations d’Alpine et d’autres systèmes musl avec n’importe quel mot de passe de plus de 256 caractères, à condition de réunir une poignée de conditions. Le mécanisme est un chef-d’œuvre : quand le calcul échoue, musl renvoie un astérisque, les comptes qui ne doivent s’ouvrir avec aucun mot de passe sont justement marqués d’un astérisque dans le fichier shadow, sshd compare les deux et trouve que ça colle. Enfin un mot de passe conforme aux recommandations de l’ANSSI. L’article démonte le mécanisme, délimite les configurations vraiment exposées et donne les commandes pour vérifier votre parc ce qui vous occupera pendant qu’OpenSSH accuse musl et que musl accuse OpenSSH.
How VillageSQL does open source
VillageSQL, fork open source de MySQL avec un framework d’extensions, raconte comment il se construit en public : roadmap sur GitHub, triage chaque semaine et un bot Prow qui applique les mêmes règles aux salariés qu’aux inconnus ce qui dans l’open source d’entreprise relève de la science-fiction. L’article vaut le détour pour qui maintient un projet ou veut en monter un, toutes les règles de contribution tiennent dans un seul fichier public qui pilote tous les dépôts, chaque contributeur voit ce qui manque à sa PR sans avoir à demander, et le passage sur les licences explique pourquoi rien ne repartira jamais vers MySQL, Oracle exigeant la copropriété de chaque contribution comme un beau-père qui a financé l’apport. Petit bonus, interdiction de faire rédiger ses PR, ses commits ou ses réponses aux reviewers par un LLM, de quoi diviser par deux le nombre de contributeurs sur GitHub. Seuls le site et le service managé restent privés, c’est-à-dire la partie qui finira par rapporter.
Sous les pavés l'IA
How to run an LLM locally
Un guide très complet pour faire tourner un LLM sur votre propre machine, sous macOS, Linux ou Windows : appli desktop, Ollama, llama.cpp, interface web, modèle dans un onglet du navigateur ou serveur vLLM pour toute l’équipe, avec pour chaque option ce qu’il faut gérer et sur quel matériel. Les meilleurs passages sont les pièges, comme l’assistant “local” branché sur un service d’embeddings dans le cloud qui expédie donc vos documents ailleurs, ou cette vérité que personne n’ose dire aux gamers : 64 Go de RAM ne transforment pas une carte graphique de 8 Go en carte de 64. C’est clair, précis, sans esbroufe, et c’est probablement le guide que vous enverrez au prochain collègue qui vous demande comment avoir son ChatGPT perso sans que ça sorte de la boîte.
Le prochain numéro
Ne rate pas le n° 90.
Pas besoin de revenir ici chaque semaine : il arrive dans ta boîte mail.
Un email par semaine, désinscription en un clic.